Perplexity, Bumblebee 오픈 소스 공개

AI의 급격한 발전으로 인해 보안 환경이 더욱 복잡해졌으며, 매일 새로운 취약점이 발견되고 있습니다.

최근의 위협은 Perplexity와 같은 현대 엔지니어링 팀이 의존하는 소프트웨어 패키지, 개발자 도구 및 로컬 환경을 점점 더 타겟으로 삼고 있습니다. 따라서 제품의 무결성은 생산 단계보다 훨씬 앞선 공급망 단계부터 시작되어야 합니다.

오늘 우리는 Perplexity, Comet, Computer의 개발자 시스템을 보호하기 위해 사용하는 내부 도구 중 하나를 오픈 소스로 공개합니다.

Bumblebee는 공급망 사고 발생 시 개발자 컴퓨터에서 위험한 패키지, 확장 프로그램 및 AI 도구 구성을 확인하는 데 사용하는 읽기 전용 스캐너입니다.

Bumblebee는 모든 보안 팀에게 유용합니다. 새로운 취약점이 보고될 때마다, 그들은 자신의 컴퓨터 중 노출된 것이 있는지 즉시 알아야 합니다.

사용자를 위해 Perplexity 제품을 더 안전하게 만드는 것은 제품을 구축하는 개발자 시스템을 보호하는 것에서 시작됩니다. Bumblebee는 Perplexity Computer가 새로운 위협을 추적하고, 사람이 카탈로그 업데이트를 검토하며, Bumblebee가 개발자 엔드포인트 전반에 걸쳐 노출된 구성 요소가 있는지 확인하는 당사의 광범위한 보안 워크플로우의 한 구성 요소입니다.

오늘 우리는 모든 팀이 동일한 보안 계층 위에서 구축할 수 있도록 Bumblebee를 오픈 소스로 공개합니다.

이제 엔지니어링 조직은 자체 카탈로그와 검토 프로세스를 사용하여 Bumblebee를 실행할 수 있습니다. 당사가 내부적으로 Bumblebee를 사용하는 방법은 다음과 같습니다.

공개된 정보, 타사 인텔리전스 피드 또는 내부 조사를 통해 위협 신호가 식별됩니다.

Perplexity Computer는 카탈로그 업데이트 초안을 작성합니다. 이 도구는 신호를 구조화된 항목(에코시스템, 이름, 버전)으로 입력한 다음 소스 링크가 포함된 GitHub PR을 엽니다.

인적 검토 단계로 넘어가며, 검토가 완료되면 PR이 병합됩니다.

Bumblebee는 업데이트된 카탈로그를 사용하여 엔드포인트에서 실행됩니다.

조사 결과는 보안 팀과 공유됩니다.

Bumblebee는 세 가지 스캔 프로필을 지원하며, 이를 통해 검색 위치와 범위를 지정할 수 있습니다.

Baseline 프로필: 표준 노트북 위치에 대한 정기 스캔입니다. 팀은 자체 MDM 또는 플릿 도구를 통해 일정을 예약합니다.

Project 프로필: 특정 리포지토리나 워크스페이스에 대한 타겟 스캔입니다.

Deep 프로필: 활성 사고에 대한 대응 스윕입니다.

각 탐지 결과는 추적 가능하며, 어떤 카탈로그 항목이 파일링을 트리거했는지, 언제 추가되었는지, 그리고 증거 자료를 보여줍니다.

SBOM 및 취약점 스캐너는 리포지토리와 빌드 아티팩트를 처리합니다. 엔드포인트 인벤토리 제품은 설치된 애플리케이션을 다룹니다. Bumblebee는 개발자 노트북에서 실행됩니다. Bumblebee는 공급망 관련 권고 사항이 전달될 때 해당 컴퓨터에 특정 패키지, 버전, 확장 프로그램 또는 MCP 구성이 설치되어 있는지 알려줍니다.

기존의 오픈 소스 도구는 이러한 영역 중 하나나 두 개만 다루는 경향이 있습니다. Bumblebee는 네 가지 영역을 모두 포괄합니다.

언어 패키지 관리자: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer

AI 에이전트 구성: MCP

에디터 확장 프로그램: VS Code 제품군(VS Code, Cursor, Windsurf, VSCodium)

브라우저 확장 프로그램: Chromium 제품군(Chrome, Comet, Edge, Brave, Arc) 및 Firefox

Bumblebee는 읽기 전용입니다. 메타데이터 파일을 직접 읽으며 잠재적으로 손상된 도구가 실행되지 않도록 하여 스캔 자체가 위험 요소가 되는 것을 방지합니다. Bumblebee를 읽기 전용으로 설정함으로써 설치 시점의 코드 실행과 관련된 문제를 방지할 수 있습니다.

npm 패키지에는 npm install이 실행되는 즉시 자동으로 실행되는 postinstall 스크립트가 포함될 수 있습니다. 최근 발생한 대부분의 공급망 웜이 이런 방식으로 확산되었습니다. 노출 여부를 확인하기 위해 npm을 호출하는 스캐너는 이미 공격을 트리거했을 가능성이 있습니다. Bumblebee는 다음을 방지하여 이를 차단합니다.

코드 실행: 설치 스크립트나 수명 주기 후크를 절대 실행하지 않습니다.

패키지 관리자 호출: npm, pnpm, bun 또는 pip을 절대 실행하지 않습니다.

소스 파일 읽기: 애플리케이션 소스 파일을 절대 읽지 않으며, lockfile, 매니페스트, 설치된 패키지 메타데이터와 같은 메타데이터만 읽습니다.

프로세스 또는 네트워크 모니터링: Bumblebee는 EDR이 아닙니다.

Bumblebee는 이제 macOS 및 Linux 개발자 엔드포인트를 위한 오픈 소스 Go 프로젝트로 제공됩니다. 보안 팀은 이를 다운로드하여 자체적인 악성 버전 카탈로그를 대상으로 실행하고, 결과를 기존 워크플로우에 통합하여 사용할 수 있습니다.

Bumblebee 소개

위협 신호부터 엔드포인트 스캔까지

보안은 로컬 개발자 영역에서 시작됩니다

Bumblebee가 검토하는 항목

안전하게 노출 평가하기